トラフィックは、アクティブ/アクティブ HA 実装でサイレントに破棄/ドロップされます

7832

Created On 06/14/23 13:50 PM - Last Modified 10/28/24 16:49 PM

Symptom

FW1 は、新しいセッションの初期パケットを受信し、セッション所有者になります。
FW1 は、FW2 がセッション設定であることを検出し、HA3 経由でパケットを FW2 に転送します。
パケットが FW2 によって受信されると、FW2 はスローパスを実行し、セッションセットアップ中に入力インターフェイスと出力インターフェイスを決定します。
次に、FW2 は、レイヤ 7 処理に HA3 リンク(存在する場合)を使用して、パケットを FW1 に送り返します。
FW1 は、FW2 から受信したセッション情報に基づいて、出力インターフェイスから宛先へのパケットの転送を試みます。
FW2 から受信したセッションのエグレスインターフェイスまたはサブインターフェイス番号が、FW1 に設定されたエグレスインターフェイスまたはサブインターフェイスと異なる場合、パケットは破棄されます。
その結果、問題の発生時に グローバルカウンタの ha_aa_session_setup_too_many_retry、 flow_no_interface 、 および flow_arp_rcv_err が増加する可能性があります。

ファイアウォールで取得されたパケットキャプチャには、SYN再送信のドロップが表示されます

ファイアウォールノードのいずれかを一時停止すると、問題が解決します。

Environment

PAN-OS:すべて
高い可用性:アクティブ/アクティブ

Cause

同じイングレス/エグレストラフィックに使用されるサブインターフェイス番号またはインターフェイスは、アクティブプライマリファイアウォールノードとアクティブセカンダリファイアウォールノードで異なります。

例：

アクティブプライマリ:イーサネット1/7。40 VLAN ID 40
アクティブセカンダリ:イーサネット1/7。30 VLAN ID 30

または：

アクティブプライマリ: イーサネット1/1
アクティブセカンダリ:イーサネット1/2

Resolution

サブインターフェイス番号またはインターフェイスを変更して、両方のファイアウォールノードで同じになるようにします。 VLAN ID は変更されていない場合があります。

例：

アクティブプライマリ:イーサネット1/7。40 VLAN ID 40
アクティブセカンダリ:イーサネット1/7。40 VLAN ID 30